CVE-2022-41627

highPriorität · verfolgen · 30OT-Risiko · erhöhtEPSS 0.001 · 2. PerzentilEUUS
grimoire priorityP2 · Scheduled
Exploitable?
—
no known exploitation
Likely / severe?
0.12% (2nd) EPSS
CVSS 7.6 · high
Is it mine?
6 products
Prüfe deine Angriffsfläche
Who says so?
4 sources
cnnvd · enisa_euvd · cisa_csaf_ot · nvd

EPSS · bewertet 2026-10-27

The physical IoT device of the AliveCor's KardiaMobile, a smartphone-based personal electrocardiogram (EKG) has no encryption for its data-over-sound protocols. Exploiting this vulnerability could allow an attacker to read patient EKG results or create a denial-of-service condition by emitting sounds at similar frequencies as the device, disrupting the smartphone microphone’s ability to accurately read the data. To carry out this attack, the attacker must be close (less than 5 feet) to pick up and emit sound waves.

01

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Noch kein Hersteller-Fix; eine Mitigation ist verfügbar.

  • MitigationKardiaMobile IoT devicecisa_csaf_ot

    AliveCor has acknowledged that the data-over-sound protocol has no encryption and is vulnerable to CVE-2022-41627, but the circumstances necessary for exploitation are "unlikely."

02

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.6
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 4.8–7.6

v3.17.6highCVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Hprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 4.7
v3.04.8mediumCVSS:3.0/AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:Hsecondary · CISA US
v3.14.8mediumCVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:Hsecondary · ENISA EU
v3.14.8mediumCVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:Hsecondary · ics-cert@hq.dhs.gov USAusnutzbarkeit 0.5 · Auswirkung 4.2
v3.17highCVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H/E:Usecondary · CVSS-BT (t0sche)
03

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS
04

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-319USprimärCWE-311USCWE-311US
05

betroffene Produkte (6)

Betroffene Produkte und Versionsbereiche.

06

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

  • ICSMA-22-298-01AliveCor KardiaMobile2022-10-25icsa · cisa_csaf_otUS

    Successful exploitation of these vulnerabilities could lead to attackers stealing or faking personal cardiograms or enabling a denial-of-service attack. Attackers must be at close range to carry out these attacks.

07

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

08

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdcisa_csaf_otnvdNVDCVE.orgMITRE
veröffentlicht 2022-10-27geändert 2026-06-17
10

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan